Dateien DSGVO-konform versenden: was die Verordnung wirklich verlangt

Sie versenden Dateien DSGVO-konform, wenn personenbezogene Daten nur verschickt werden, wo es nötig ist, durch angemessene Sicherheit wie Verschlüsselung geschützt sind, nicht länger als nötig gespeichert bleiben und über einen Anbieter laufen, der an einen Auftragsverarbeitungsvertrag gebunden ist; jede Übermittlung außerhalb des Europäischen Wirtschaftsraums (EWR) braucht zudem eine Rechtsgrundlage. Die DSGVO zertifiziert keine Tools: Sie legt Pflichten für die Organisation fest, die die Daten versendet, und der richtige Dienst macht es deutlich leichter, sie zu erfüllen.

Dieser Ratgeber ordnet die Artikel der Verordnung (EU) 2016/679 ein, die gelten, wenn Sie Dateien mit personenbezogenen Daten verschicken, etwa Lebensläufe, Gehaltsabrechnungen, Arztberichte, Fotos von Personen oder Kundenlisten. Er zeigt, was in Deutschland, Österreich und der Schweiz dazukommt, und fasst alles in einer Checkliste zusammen. Es handelt sich um allgemeine Informationen (Stand: Oktober 2026), keine Rechtsberatung; das letzte Wort für Ihren Fall haben Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung.

Wann gilt die DSGVO beim Versenden von Dateien?

Immer dann, wenn die Dateien personenbezogene Daten enthalten, also Informationen über eine identifizierbare Person, und Ihre Organisation in der EU niedergelassen ist oder Menschen in der EU Dienstleistungen anbietet. Ein Vertrag mit Namen und Adressen, eine Kundentabelle, ein eingescannter Ausweis, ein Foto, auf dem Menschen zu erkennen sind: All das zählt. Das Versenden ist eine „Verarbeitung“, ebenso die vorübergehende Speicherung beim Übertragungsdienst.

Die DSGVO-Artikel, die beim Dateiversand zählen

Ihr Anbieter ist Auftragsverarbeiter: der AV-Vertrag

Wenn ein Übertragungsdienst Dateien in Ihrem Auftrag speichert, ist er Auftragsverarbeiter. Art. 28 verlangt, dass Sie nur Anbieter einsetzen, die „hinreichende Garantien“ bieten, und mit ihnen einen Vertrag schließen (meist Auftragsverarbeitungsvertrag, kurz AVV, genannt). Darin steht unter anderem, dass der Anbieter nur auf Ihre dokumentierte Weisung handelt, die Daten vertraulich behandelt und schützt, Unterauftragsverarbeiter nur mit Ihrer Genehmigung einsetzt und Kontrollen ermöglicht. Prüfen Sie bei geschäftlicher Nutzung, ob der Anbieter solche Bedingungen anbietet und seine Unterauftragsverarbeiter auflistet.

Ist Verschlüsselung nach der DSGVO Pflicht?

Nicht pauschal: Art. 32 verlangt ein „dem Risiko angemessenes Schutzniveau“ und nennt die Pseudonymisierung und Verschlüsselung personenbezogener Daten als Beispiele. In der Praxis ist Verschlüsselung der erwartete Standard, wenn personenbezogene Daten über das Internet gehen, und sie bringt im Ernstfall einen konkreten Vorteil. Nach Art. 34 Abs. 3 lit. a müssen Sie Betroffene nicht über eine Datenpanne benachrichtigen, wenn die Daten für Unbefugte unzugänglich gemacht wurden, „etwa durch Verschlüsselung“.

Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu Datenpannen ergänzen wichtige Feinheiten: Die Ausnahme gilt für ordnungsgemäß verschlüsselte Daten, deren Schlüssel nicht kompromittiert wurde, und der Verlust der einzigen Kopie verschlüsselter Daten bleibt eine Verletzung der Verfügbarkeit. Die Ende-zu-Ende-Verschlüsselung, bei der selbst der Anbieter die Dateien nicht lesen kann, ist die stärkste Form; siehe Ende-zu-Ende-Verschlüsselung einfach erklärt.

Deutschland, Österreich, Schweiz: Was gilt zusätzlich?

Deutschland: BDSG und Landesaufsicht

In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die DSGVO. Wichtig für die Praxis ist die Frage, welche Behörde zuständig ist: Unternehmen und andere nichtöffentliche Stellen werden von den nach Landesrecht zuständigen Aufsichtsbehörden überwacht, also der Datenschutzaufsicht Ihres Bundeslandes (§ 40 BDSG). Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist vor allem für die öffentlichen Stellen des Bundes und für bestimmte Telekommunikationsanbieter zuständig (§ 9 BDSG). Auch der BfDI selbst weist darauf hin, dass Privatunternehmen meist von den Landesbehörden beaufsichtigt werden. Eine Datenpanne meldet ein Unternehmen deshalb in aller Regel der Aufsichtsbehörde seines Bundeslandes.

Österreich: die Datenschutzbehörde (DSB)

In Österreich ist die Österreichische Datenschutzbehörde (DSB) in Wien die Anlaufstelle. Für Meldungen nach Art. 33 DSGVO stellt sie ein Onlineformular bereit, alternativ ein PDF-Formular, E-Mail an dsb@dsb.gv.at oder einen Brief. Die Meldung erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde; fehlende Angaben können in mehreren Schritten nachgereicht werden. Das Formular ist für Verantwortliche gedacht, nicht für Betroffene, die sich beschweren wollen.

Schweiz: das revidierte Datenschutzgesetz (revDSG) und der EDÖB

Die Schweiz ist nicht in der EU, und die DSGVO gilt dort nur in bestimmten Fällen direkt, etwa wenn ein Schweizer Unternehmen Menschen in der EU Waren oder Dienstleistungen anbietet. Maßgeblich ist das Bundesgesetz über den Datenschutz (DSG, SR 235.1), das in seiner totalrevidierten Fassung seit dem 1. September 2023 in Kraft ist. Für den Dateiversand sind vor allem diese Punkte relevant:

• Datensicherheit (Art. 8 DSG): Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Maßnahmen eine dem Risiko angemessene Datensicherheit.
• Auftragsbearbeiter (Art. 9 DSG): Wer die Bearbeitung vertraglich auslagert, muss sich vergewissern, dass der Anbieter die Datensicherheit gewährleisten kann; Unteraufträge sind nur mit vorgängiger Genehmigung erlaubt.
• Bekanntgabe ins Ausland (Art. 16 DSG): erlaubt, wenn der Bundesrat dem Zielstaat einen angemessenen Schutz bescheinigt hat, sonst etwa mit Standarddatenschutzklauseln.
• Meldung an den EDÖB (Art. 24 DSG): Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Betroffenen führt, ist dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) „so rasch als möglich“ zu melden. Eine feste 72-Stunden-Frist nennt das Gesetz nicht. Der EDÖB bietet dafür ein Meldeportal an.
• Strafen: Das DSG sieht Bussen bis zu 250.000 Franken vor, zum Beispiel wenn jemand vorsätzlich die Bearbeitung einem Auftragsbearbeiter übergibt, ohne dass die Voraussetzungen von Art. 9 erfüllt sind (Art. 61 DSG).

Für den Datenfluss zwischen der EU und der Schweiz gibt es eine gute Nachricht: Die EU hat der Schweiz seit dem Jahr 2000 ein angemessenes Datenschutzniveau bescheinigt und dies mit einem Bericht vom 15. Januar 2024 auch unter der DSGVO bestätigt. Personendaten aus EU- und EWR-Staaten dürfen laut EDÖB weiterhin in die Schweiz übermittelt werden, ohne dass zusätzliche Garantien nötig sind.

Speicherbegrenzung: Warum Links mit Ablaufdatum helfen

Ein geteilter Ordner, der jahrelang offen bleibt, verträgt sich schlecht mit dem Grundsatz, dass personenbezogene Daten nicht länger als nötig gespeichert werden. Übertragungslinks, die nach wenigen Tagen ablaufen, und Dateien, die mit dem Ablauf gelöscht werden, setzen Art. 5 Abs. 1 lit. e und Art. 25 „durch Voreinstellung“ um, ohne dass jemand ans Aufräumen denken muss. Unser Ratgeber Link mit Passwort und Ablaufdatum schlägt Laufzeiten je nach Situation vor.

Daten außerhalb der EU: Was ist mit US-Anbietern?

Kapitel V der DSGVO (Art. 44 bis 49) erlaubt Übermittlungen außerhalb des EWR nur mit einer Rechtsgrundlage, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln. Für die USA hat die Europäische Kommission am 10. Juli 2023 den Angemessenheitsbeschluss zum EU-US Data Privacy Framework angenommen; er gilt für US-Unternehmen, die sich nach diesem Rahmen selbst zertifizieren. Das Gericht der Europäischen Union hat eine Klage dagegen am 3. September 2025 abgewiesen, ein Rechtsmittel beim Gerichtshof ist (Stand: Oktober 2026) anhängig. Der Rahmen gilt heute, aber seine Vorgeschichte (zwei frühere Abkommen wurden gekippt) erklärt, warum viele Organisationen Anbieter bevorzugen, die Daten in Europa speichern.

Checkliste: einen DSGVO-freundlichen Übertragungsdienst auswählen

• Eine klare Datenschutzerklärung und Bedingungen zur Auftragsverarbeitung (AVV) für Geschäftskunden, mit einer Liste der Unterauftragsverarbeiter.
• Ein angegebener Speicherort, idealerweise im EWR, oder ein gültiger Übermittlungsmechanismus.
• Verschlüsselung bei Übertragung und Speicherung sowie Ende-zu-Ende-Verschlüsselung für sensible Dateien.
• Ablaufdaten mit automatischer Löschung, Passwörter und Download-Limits.
• Zugriffskontrolle auf Absenderseite: Zwei-Faktor-Authentifizierung, Rollen im Team.
• Eine Möglichkeit, eine Übertragung sofort zu löschen, wenn sie an die falsche Person ging.

Checkliste: den Dienst DSGVO-konform nutzen

1. 1

   Schritt 1

   Minimieren

   Nur die Dokumente und Daten senden, die der Empfänger braucht; den Rest schwärzen.

2. 2

   Schritt 2

   Schützen

   Ein Passwort über einen anderen Kanal mitteilen und Ende-zu-Ende-Verschlüsselung für besondere Kategorien von Daten (zum Beispiel Gesundheitsdaten) oder Ausweisdokumente nutzen.

3. 3

   Schritt 3

   Zeitlich begrenzen

   Ein kurzes Ablaufdatum und ein Download-Limit passend zur Zahl der Empfänger wählen.

4. 4

   Schritt 4

   Empfänger prüfen

   Die Adresse kontrollieren; fehlgeleitete E-Mails sind ein Klassiker unter den Datenpannen.

5. 5

   Schritt 5

   Aufräumen

   Lokale Kopien und gesendete Anhänge löschen, die Sie nicht mehr brauchen.

6. 6

   Schritt 6

   Dokumentieren

   Das Tool im Verzeichnis von Verarbeitungstätigkeiten eintragen und die interne Regel kurz und bekannt halten.

Datei an die falsche Person geschickt: Was tun?

Sperren Sie den Link sofort, prüfen Sie, ob die Dateien heruntergeladen wurden, und schätzen Sie das Risiko für die Betroffenen ein. Führt die Panne voraussichtlich zu einem Risiko für ihre Rechte und Freiheiten, verlangt Art. 33 eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden: in Deutschland meist die Landesbehörde, in Österreich die DSB. Für die Schweiz gilt Art. 24 DSG mit der Meldung an den EDÖB. Ein Vorschlag der Europäischen Kommission (der „Digital Omnibus“ vom November 2025) würde diese Regeln ändern, unter anderem mit einer Frist von 96 Stunden, war aber im Oktober 2026 noch nicht verabschiedet. Unsere Checkliste für den sicheren Dateiversand hilft bei der Vorbeugung.

Typische Situationen